DeepSeek-gestützter KI-Agent nahm mehr als 460 Systeme ins Visier

DeepSeek schaffte es in die Google News, nachdem Forschende eine KI-gestützte Kampagne aufdeckten, die Angriffe auf mehr als 460 Ziele versuchte. Die Operation verursachte nur begrenzt bestätigte Schäden, doch ihr Ablauf überschritt eine wichtige Grenze. Ein KI-Agent suchte nach verwundbaren Systemen, wählte Exploits aus, verwarf wenig erfolgversprechende Möglichkeiten und richtete sich mit kaum menschlicher Anleitung neu aus.

Unit 42 von Palo Alto Networks schrieb die Aktivität einem chinesischsprachigen Akteur zu, der die Aliasse knaithe und KnYuan nutzte. Die Forschenden schätzten ein, dass die Person in Zhuhai, China, ansässig war. Sie beschrieben den Akteur als opportunistischen Exploit-Operator und nicht als staatlich unterstützte Gruppe.

Die Kampagne ist bedeutsam, weil DeepSeek nicht einfach Fragen zum Hacking beantwortete. Es lieferte die Schlussfolgerungen innerhalb von Hermes Agent, einem Open-Source-Framework mit Terminalzugriff, wiederverwendbaren Skills und Telegram-basierter Steuerung. Diese Kombination machte aus einem Sprachmodell eine operative Komponente eines Angriffssystems.

Das alarmierendste Szenario trat nicht vollständig ein. Unit 42 stellte fest, dass autonome Versuche gegen Langflow- und n8n-Systeme scheiterten, weil erforderliche Konfigurationen fehlten oder die Authentifizierung den Zugriff blockierte. Bestätigter Datendiebstahl resultierte aus separater manueller Ausnutzung, während zudem Befehlsausführung auf exponierten Notebook-Endpunkten beobachtet wurde.

Diese Unterscheidung relativiert die Schlagzeile, verstärkt aber die Lehre daraus. Der Agent war unzuverlässig, auffällig und konnte seinen eigenen Operator preisgeben. Zugleich war er in der Lage, Aufklärungs- und Ausnutzungsarbeit zu leisten, die zuvor anhaltenden manuellen Aufwand erfordert hätte.

Der daraus entstehende Konflikt lautet nicht DeepSeek gegen ein einzelnes westliches Modell. Es geht um erlaubnisfreie Agentenausführung gegenüber KI-Zugriff unter Kontrolle der Anbieter. Die Operation zeigt, wie Modellsicherungen, Framework-Berechtigungen, exponierte Infrastruktur und herkömmliches Patchen nun in derselben Angriffskette zusammenlaufen.

Was die Google-News-Schlagzeile auslässt

Die Kampagne verband autonome Experimente mit herkömmlichen manuellen Angriffen; sie war also kein vollständig automatisierter Kompromittierungsangriff auf Hunderte Organisationen.

Die deutlichste Darstellung stammt aus der am 30. Juli 2026 veröffentlichten Unit-42-Untersuchung. Die Forschenden fanden eine operative Umgebung, die mit knaithe und KnYuan verknüpft war. Ihre Inhalte umfassten Modellkonfigurationen, Exploit-Skripte, Ziellisten, Shell-Verläufe und Protokolle von Agentensitzungen.

Unit 42 erklärte, der Akteur habe mit autonomen und manuellen Techniken versucht, mehr als 460 Ziele auszunutzen. Diese Gesamtzahl sollte nicht als 460 erfolgreiche Eindringversuche interpretiert werden. Die Forschenden bestätigten Datenexfiltration von drei Citrix-NetScaler-Zielen sowie Befehlsausführung auf 11 Marimo-Notebook-Endpunkten.

Die aus einer Sitzung vom 7. Mai rekonstruierte autonome Sequenz hatte ein engeres Ergebnis. Der Operator gab Hermes Agent über Telegram eine erste Aufgabe. Die Forschenden erklärten, sie hätten während der aufgezeichneten Sequenz keine weiteren Eingaben des Operators wiederherstellen können.

Hermes nahm zunächst Langflow ins Visier, eine Plattform zum Erstellen von KI-Workflows. DeepSeek fand öffentlich verfügbaren Exploit-Code, nutzte die Suchmaschine FOFA zur Aufzählung von 84 exponierten Instanzen und führte einen Scanner mit 10 Threads aus. Dabei identifizierte es ein offenbar verwundbares Ziel.

Der Versuch scheiterte, weil die Schwachstelle eine exponierte Flow-ID oder eine aktivierte automatische Anmeldeeinstellung erforderte. Das Ziel erfüllte keine dieser Bedingungen. DeepSeek stufte das Produkt daraufhin als wenig erfolgversprechend ein und suchte nach etwas mit einer größeren erreichbaren Angriffsfläche.

Dieser Wechsel ist das zentrale Ereignis. Herkömmliche Automatisierung führt vorab festgelegte Befehle gegen eine vorbereitete Liste aus. Die Kombination aus Hermes und DeepSeek interpretierte fehlgeschlagene Ergebnisse, recherchierte andere Schwachstellen, verglich Ziele und wählte einen anderen Weg.

Der Agent untersuchte 10 Produktfamilien und durchsuchte GitHub nach aktuellem Proof-of-Concept-Code. Nach Abwägung von Schweregrad, Bereitstellungszahlen und der offensichtlichen Popularität verfügbaren Exploit-Codes entschied er sich für n8n.

Unit 42 berichtete, dass FOFA weltweit 647.017 n8n-Instanzen zurückgab, darunter 25.209 in China. Diese Zahlen stammten aus der Aufklärungsumgebung des Akteurs und nicht aus einer verifizierten Zahl verwundbarer Installationen. Eine exponierte Instanz war nicht zwangsläufig betroffen oder ausnutzbar.

DeepSeek analysierte eine Exploit-Kette aus zwei Schwachstellen und identifizierte drei Systeme mit Versionen, die offenbar verwundbar waren. Der verfügbare Exploit erforderte jedoch ein nicht authentifiziertes Formular mit aktivem Datei-Upload. Die gefundenen Formulare verlangten eine Authentifizierung.

Der Agent scannte weiter mehr als 50 verbleibende Ziele, fand jedoch kein nutzbares öffentliches Formular. Unit 42 stellte aus dieser autonomen n8n-Sequenz keine erfolgreiche Ausnutzung fest.

Dieses gescheiterte Ergebnis ist wichtig. Die Operation zeigte kein KI-System, das eine Zero-Day-Schwachstelle erfand oder gehärtete Schutzmaßnahmen umging. Sie zeigte einen Agenten, der öffentliche Informationen zusammentrug und bekannte Techniken mit Maschinengeschwindigkeit anwandte.

Die manuelle Seite erzielte größere Auswirkungen. Der Akteur nutzte eine NetScaler-Schwachstelle zum Speicherüberlesen aus, um Daten von drei Zielen zu erlangen. Unit 42 fand zudem Befehlsausführung auf 11 Marimo-Notebook-Endpunkten sowie Versuche im Zusammenhang mit Tomcat- und Windows-IKE-Diensten.

Die als CVE-2026-3055 geführte NetScaler-Schwachstelle erhielt von NIST einen CVSS-Score von 9,8. Sie betraf unzureichende Eingabevalidierung, wenn betroffene Systeme als SAML-Identity-Provider betrieben wurden. CISA nahm sie am 30. März in ihren Katalog der Known Exploited Vulnerabilities auf.

Unit 42 erklärte, der Akteur habe gestohlenen NetScaler-Speicher nach Authentifizierungs-Cookies durchsucht, was auf Interesse an Session-Hijacking hindeutet. Einer malaysischen Regierungsorganisation galt über mehrere Tage hinweg anhaltende Aufmerksamkeit, einschließlich angepasster Speicherparameter und späterer Verbindungen über Anonymisierungs-Proxys.

Diese Details zeigen einen Operator, der dort Urteilsvermögen einsetzte, wo der KI-Agent erfolglos blieb. Die Kampagne war daher hybrid. Die Automatisierung erweiterte Aufklärung und Experimente, während der Mensch höherwertige Ausnutzung und Persistenz übernahm.

DeepSeek-KI-Agentenautomatisierung verändert die Ökonomie

Der Wert des Agenten lag nicht in einer höheren Erfolgsquote. Er bestand darin, repetitive Recherche, Filterung und Neuausrichtung in einen wiederverwendbaren Prozess zu verdichten.

Hermes Agent stellte die operative Ebene bereit. Es verschaffte DeepSeek Terminalzugriff, ein Skills-System, Telegram-Steuerung und Verbindungen zu externen Tools. DeepSeek lieferte Schlussfolgerungen für Codegenerierung, Schwachstellenbewertung, Zielauswahl und Entscheidungen über die nächsten Schritte.

Der Akteur fügte drei offensive Skills hinzu. Einer unterstützte das Jailbreaking von Modellen, ein weiterer deckte die Ausnutzung von WebSockets ab, und ein dritter wandelte Anweisungen in FOFA-Suchen um. Die Umgebung war außerdem mit einem Model Context Protocol-Server verbunden, der Funktionen zur Asset-Erkennung und Schwachstellenscans bereitstellte.

Model Context Protocol, kurz MCP, ist ein Standard, der einem KI-System den Aufruf externer Datenquellen und Tools ermöglicht. In dieser Kampagne half es, natürlichsprachliche Anweisungen mit Suchen nach Internet-Assets und der Generierung von Scannern zu verbinden. Das Modell konnte von der Entscheidung, wonach gesucht werden sollte, zu den erforderlichen Suchanfragen übergehen.

Diese Architektur trennt Kognition von Aktion. Ein Sprachmodell bewertet Ergebnisse und schlägt Schritte vor. Das Agenten-Framework führt Befehle aus, speichert Zustände und gibt Beobachtungen zurück. Skills bewahren Verfahren, die in späteren Sitzungen wiederverwendet werden können.

Diese Trennung erklärt, warum das Modell allein nicht das vollständige Risiko darstellt. DeepSeek konnte ohne Ausführungsumgebung keine Adresse scannen oder einen Exploit ausführen. Hermes wandelte generierte Entscheidungen in Aktivitäten des Betriebssystems um.

Der Workflow verwaltete zudem Ressourcen. Unit 42 zufolge zog DeepSeek aus den von FOFA gemeldeten 25.209 chinesischen n8n-Instanzen eine Stichprobe von etwa 100 Adressen. Anschließend prüfte es rund 40 eindeutige Adressen, statt die gesamte Sammlung zu testen.

Dieses Verhalten deutet darauf hin, dass das System Zielabdeckung gegen Rechen- und Ausführungskosten abwog. Es suchte breit, grenzte das Feld ein, testete Versionen und stoppte, wenn erforderliche Bedingungen nicht verfügbar waren. Das ähnelt dem Triage-Prozess eines Analysten, auch wenn die zugrunde liegenden Beurteilungen unvollkommen waren.

Der Operator betrieb außerdem 1DayNews, eine automatisierte Pipeline für Schwachstelleninformationen. Laut Unit 42 sammelte sie Offenlegungen zu Remote-Code-Execution aus 17 Quellen, nutzte DeepSeek, um Erkenntnisse nach Ausnutzbarkeit zu filtern, und verteilte Warnungen über Telegram.

Diese Pipeline hilft zu erklären, warum die Kampagne opportunistisch erschien. Der Akteur konnte neue Schwachstellenoffenlegungen aufnehmen, exponierte Produkte priorisieren, öffentlichen Code beschaffen und mit Tests beginnen, ohne sich auf ein einzelnes Opfer oder einen Sektor festzulegen.

Der Ansatz setzt Verteidiger unter Druck, weil ihre Patch-Uhr bereits beginnt, sobald eine Offenlegung öffentlich wird. Ein Agent reduziert den Aufwand zwischen Offenlegung, Zielerkennung und versuchter Ausnutzung. Er muss einen Exploit nicht verbessern, wenn er stattdessen irgendwo eine verwundbare Konfiguration finden kann.

Palo Alto Networks hatte zuvor ähnliche Angriffsautomatisierung unter kontrollierten Bedingungen getestet. Sein agentisches Angriffs-Framework aus dem Jahr 2025 simulierte eine Ransomware-Sequenz von der ersten Kompromittierung bis zum Datendiebstahl in 25 Minuten.

Das Unternehmen beschrieb dieses Laborergebnis als eine 100-fache Geschwindigkeitssteigerung. Es berichtete außerdem, dass die durchschnittliche Zeit von der Kompromittierung bis zur Exfiltration von neun Tagen im Jahr 2021 auf zwei Tage im Jahr 2024 sank. In einem Fünftel der untersuchten Fälle begann die Exfiltration innerhalb einer Stunde.

Diese Zahlen belegen nicht, dass die DeepSeek-Kampagne mit derselben Geschwindigkeit operierte. Sie verdeutlichen, warum autonome Triage Incident Responder beunruhigt. Ein defensiver Prozess, der in wöchentlichen Patch-Zyklen gemessen wird, trifft auf einen Angreifer, der Ziele innerhalb einer Sitzung neu bewerten kann.

Die aktuelle Kampagne stieß dennoch auf grundlegende Hindernisse. Die Authentifizierung stoppte die n8n-Exploit-Kette. Eine fehlende Langflow-Einstellung stoppte den ersten Versuch. Viele gescannte Systeme antworteten nicht.

Dieses Ergebnis unterstreicht einen weniger dramatischen Punkt: Konfiguration und Zugriffskontrollen sind weiterhin wichtig. Ein Agent kann suchen, sich anpassen und erneut versuchen, doch er kann nicht automatisch jede in einem Exploit enthaltene Voraussetzung beseitigen.

Die Ökonomie hat sich dennoch verändert. Eine niedrige Erfolgsquote kann weiterhin nützlich sein, wenn Zielerkennung und Ersttests kostengünstig werden. Angreifer brauchen nicht jeden Versuch erfolgreich abzuschließen, wenn ein Agent die verworfene Arbeit kontinuierlich erledigen kann.

Erlaubnisfreie Agenten setzen Anbieter-Sicherungen unter Druck

Der zentrale Wettbewerb besteht zwischen uneingeschränkten Ausführungsumgebungen und KI-Diensten, die Richtlinien an der Anbietergrenze durchsetzen.

Der Operator bewertete mehrere Modell- und Codierungssysteme. Unit 42 fand Konfigurationen mit Qwen, GLM, Kimi, MiniMax, Claude Code, Codex und DeepSeek. Ihre Rollen und die verfügbaren Belege unterschieden sich erheblich.

DeepSeek fungierte innerhalb von Hermes Agent als zentrale Schlussfolgerungs-Engine. Qwen Code erschien nur in zwei wiederhergestellten Sitzungen. Die Aktivität von Claude Code bestand aus 10 Einträgen über drei Sitzungen hinweg, überwiegend Modellprüfungen, Proxy-Validierung und Konnektivitätstests.

Die Forschenden fanden Hinweise darauf, dass Codex Zugriff auf Verzeichnisse für die Exploit-Entwicklung hatte, konnten jedoch keine Gespräche wiederherstellen. Der Akteur hatte die lokale Speicherung von Antworten deaktiviert, wodurch Unit 42 nicht verifizieren konnte, wie Codex eingesetzt wurde.

Diese fehlenden Belege sind wichtig. Das Vorhandensein einer Tool-Konfiguration beweist nicht, dass das Tool einen Exploit generiert oder an einem erfolgreichen Angriff mitgewirkt hat. Unit 42 beschrieb die Codex-Verbindung angemessen als Hinweis und nicht als bestätigte operative Rolle.

Der Akteur leitete die westlichen Tools über einen Drittanbieter-Proxy. DeepSeek und Qwen verbanden sich direkt mit ihren nativen APIs. Die Konfigurationen entfernten oder reduzierten zudem, wo möglich, clientseitige Berechtigungsabfragen.

Clientseitige Berechtigungen steuern, ob ein Coding-Agent Befehle ausführen, Dateien ändern oder ohne wiederholte Genehmigung auf das Netzwerk zugreifen darf. Sie setzen die serverseitigen Inhalts- und Missbrauchskontrollen des Anbieters nicht außer Kraft.

Unit 42 erklärte, OpenAI habe zugehörige Signale geprüft und bestätigt, dass seine Schutzmaßnahmen richtlinienwidrige Anfragen abgewiesen hätten. Anhaltende Versuche führten dazu, dass die Systeme ein Konto, das vermutlich mit der Kampagne verbunden war, markierten und deaktivierten, bevor Unit 42 seine Erkenntnisse teilte.

Dies ist ein seltenes Praxisbeispiel, in dem Kontrollen eines Anbieters Berichten zufolge die verfügbaren Optionen eines Angreifers veränderten. Die Kontrollen stoppten die umfassendere Kampagne nicht, weil der Betreiber Modelle und Frameworks wechseln konnte. Sie erhöhten dennoch die Reibung und entfernten ein Konto.

Hermes stellte eine andere Grenze dar. Unit 42 beschrieb das Framework in der beobachteten Konfiguration als ohne integrierte Sicherheitsebene. Es enthielt zudem eine optionale Fähigkeit, die darauf ausgelegt war, Modellverweigerungen zu umgehen.

Das bedeutet nicht, dass Open-Source-Agenten grundsätzlich böswillig sind. Derselbe Terminalzugriff und wiederverwendbare Fähigkeiten unterstützen legitime Forschung, Systemadministration und Softwareentwicklung. Das Risiko entsteht, wenn weitreichende Ausführungsberechtigungen auf ein offensives Ziel treffen.

Der entscheidende Zielkonflikt lautet Kontrolle versus Portabilität. Ein gehosteter Dienst kann Anfragen prüfen, wiederholte Verstöße erkennen und Zugänge sperren. Ein selbstverwaltetes Framework gibt Nutzern mehr Freiheit, verlagert die Durchsetzung jedoch auf den Betreiber und die umgebende Infrastruktur.

Angreifer wählen vorhersehbar den Weg mit weniger Einschränkungen. Unit 42 bewertete, dass anbieterbasierte Kontrollen westliche Systeme für diese Kampagne wahrscheinlich weniger effektiv machten. Der Akteur setzte daraufhin DeepSeek über ein Framework mit minimalen clientseitigen Einschränkungen ein.

Die Operation vollständig DeepSeek zuzuschreiben, würde die Beweislage jedoch vereinfachen. Der Akteur gab die Ziele vor, wählte Tools aus, installierte Fähigkeiten, band FOFA an und stellte Terminalzugriff bereit. Öffentlicher Vulnerability-Code und exponierte Systeme vervollständigten die Kette.

Die Rolle von DeepSeek blieb folgenreich, weil es Auswahl und Anpassung übernahm. Doch ein anderes leistungsfähiges Modell in derselben permissiven Umgebung könnte ähnliche Aufgaben erfüllen. Die architektonische Kombination ist wichtiger als der Markenname allein.

Das schafft ein schwieriges politisches Problem. Modellanbieter können direkte Anfragen filtern, doch offene Modelle und alternative APIs verringern die Reichweite zentralisierter Kontrollen. Agent-Frameworks können Genehmigungsschranken ergänzen, aber ihre Nutzer können sie oft deaktivieren.

Sicherheitsteams können die Sicherheitsrichtlinien von Anbietern daher nicht als primäre Verteidigung behandeln. Diese Richtlinien können Missbrauch auf einer Ebene stören. Sie können kein exponiertes Gerät patchen, keine Authentifizierung für ein Workflow-Formular erzwingen und keinen unverwalteten Agenten daran hindern, Terminalprivilegien zu erhalten.

Die Google-News-Einordnung macht DeepSeek zum wiedererkennbaren Thema. Der tiefere Konflikt betrifft, wer die Ausführung kontrolliert und wo diese Kontrolle durchgesetzt werden kann. Modelle erzeugen Entscheidungen, Frameworks gewähren Fähigkeiten, und die Infrastruktur bestimmt, ob ein versuchter Exploit funktioniert.

Der KI-Angreifer enttarnte sich auch selbst

Dieselbe Autonomie, die die Reichweite des Betreibers vergrößerte, verursachte einen schwerwiegenden Fehler bei der operativen Sicherheit und verschaffte Forschern einen ungewöhnlichen Einblick in die Kampagne.

Hermes Agent erhielt eine Telegram-Anfrage und startete einen Python-HTTP-Server auf Port 8888. Er startete diesen Server aus dem Home-Verzeichnis des Akteurs, statt einen isolierten Staging-Ordner zu verwenden.

Dieser Fehler legte den vollständigen Arbeitsbereich offen. Unit 42 konnte API-Schlüssel, Konfigurationsdateien, Exploit-Skripte, Ziellisten, Befehlsverlauf und die Exploit-Protokolle des Agenten untersuchen. Diese Artefakte bildeten die Grundlage der veröffentlichten Rekonstruktion.

Der Fehler ist mehr als eine amüsante Umkehrung. Autonome Ausführung erhöht die Zahl folgenreicher Entscheidungen, die getroffen werden, ohne dass ein Mensch jeden Befehl überprüft. Ein scheinbar routinemäßiger Schritt zur Dateifreigabe kann Zugangsdaten und operative Historie offenlegen.

Auch menschliche Angreifer machen Fehler. Sie konfigurieren Server falsch, verwenden Infrastruktur wieder und hinterlassen Protokolle. Ein Agent fügt eine weitere Fehlerquelle hinzu, weil er Pfade, Berechtigungen, Umfang oder die Folgen eines Befehls missverstehen kann.

Der Akteur zeigte an anderer Stelle ein Bewusstsein für operative Sicherheit. Exploit-Verzeichnisse waren nach der Nutzung geleert worden. Die Codex-Antwortspeicherung war lokal deaktiviert. Proxy-Infrastruktur verringerte für einige Tools die direkte Zuschreibbarkeit.

Der Agent machte einen Teil dieser Arbeit mit einem schlecht eingegrenzten Befehl zunichte. Er erzeugte forensische Beweise, die ein vorsichtigerer manueller Betreiber möglicherweise vermieden hätte.

Diese Umkehrung half Forschern auch dabei, automatisierte von manuellen Aktionen zu trennen. Die wiederhergestellte Hermes-Sitzung zeigte den fehlgeschlagenen Langflow-Versuch, autonome Vulnerability-Recherche und den Wechsel zu n8n. Andere Dateien dokumentierten die Ausnutzung außerhalb dieser Sitzung.

Ohne diese Protokolle hätten Beobachter möglicherweise Scan-Verkehr gesehen, ohne zu wissen, ob ein KI-Modell Ziele ausgewählt hatte. Marketingaussagen über autonomes Hacking wären schwer zu überprüfen gewesen. Die exponierte Umgebung lieferte ungewöhnlich direkte Belege.

Auch diese Belege haben Grenzen. Unit 42 besaß nicht jede gelöschte Datei oder jede Sitzung. Es prüfte Hinweise auf eine massenhafte Ausnutzung gegen eine unbekannte Zahl von Hosts, die in einer Datei enthalten waren, welche der Akteur entfernt hatte.

Die Forscher konnten auch keine tatsächlichen Codex-Konversationen bestätigen. Sie behaupteten nicht, dass jedes versuchte Ziel einen autonomen Exploit erhielt. Ihre bestätigten Auswirkungen kombinierten mehrere Methoden und unterschiedliche Schwachstellen.

Diese Einschränkungen verhindern, dass die Geschichte zu einer Behauptung über einen unaufhaltsamen KI-Hacker wird. Der aufgezeichnete Agent führte nützliche Recherche und Anpassungen durch, scheiterte jedoch daran, seine vorgesehenen autonomen Ziele zu kompromittieren. Sein größter Erfolg könnte darin bestanden haben, die Suche des Betreibers zu beschleunigen.

Die Kampagne umfasste auch bekannte Schwachstellen und öffentlichen Proof-of-Concept-Code. Es gibt in dem Bericht keine Belege dafür, dass DeepSeek eine unbekannte Schwachstelle entdeckte. Es gibt keine Belege dafür, dass es unabhängig einen neuartigen Exploit von Grund auf entwickelte.

Die Bewertungen des Systems waren manchmal oberflächlich. Es behandelte GitHub-Stars bei Proof-of-Concept-Code als einen Indikator für den Wert eines Exploits. Popularität kann Aufmerksamkeit widerspiegeln, ohne Zuverlässigkeit oder breite Exponierung zu belegen.

Auch seine Produktzahlen stammten von einer Internetsuchplattform. Suchergebnisse können veraltet, doppelt oder unvollständig sein. Ein Service-Banner bestätigt weder eine exakte Version noch eine erreichbare Funktion oder eine ausnutzbare Konfiguration.

Der Agent korrigierte seinen Kurs dennoch, wenn Belege einer Annahme widersprachen. Er erkannte fehlende Langflow-Voraussetzungen. Er las die Anforderungen des n8n-Exploits erneut und bemerkte, dass die Authentifizierung die verfügbaren Formulare blockierte.

Dieses Verhalten genügt, um Verteidiger zu beunruhigen. Der Agent musste nicht perfekt schlussfolgern, um den manuellen Arbeitsaufwand zu senken. Er musste offensichtlich ungeeignete Ziele ablehnen und die Aufmerksamkeit des Betreibers für bessere Chancen bewahren.

Die Kampagne zeigt daher zwei gleichzeitige Wahrheiten. Aktuelle offensive Agenten bleiben fehleranfällig und operativ ungeschickt. Ihre Fehler beseitigen nicht die Effizienzgewinne durch beständige automatisierte Aufklärung.

Verteidiger können diese Schwäche ausnutzen. Autonome Kampagnen erzeugen wiederholte Abfragen, Hochgeschwindigkeitsprobes, Tool-Downloads und Ausführungsschübe. Die Korrelation dieser Verhaltensweisen über Identitäts-, Endpoint-, Netzwerk- und Cloud-Telemetrie hinweg kann den Workflow aufdecken.

Organisationen sollten auch ihre eigenen KI-Agenten isolieren. Weitreichender Terminalzugriff sollte nicht zugleich Zugriff auf Zugangsdatenverzeichnisse oder uneingeschränkte Netzwerkdienste bedeuten. Befehle, die Dateien offenlegen, Listener öffnen oder Sicherheitskontrollen ändern, verdienen zusätzliche Genehmigung.

Agent-Protokolle werden zu Sicherheitsbelegen. Teams, die Coding- oder Betriebsagenten einsetzen, sollten Tool-Aufrufe, Berechtigungsänderungen, Modellauswahlen und Netzwerkziele aufbewahren. Eine persönliche KI-Wissensdatenbank kann legitime Arbeit unterstützen, doch operative Geheimnisse erfordern Zugriffsgrenzen und Aufbewahrungskontrollen.

Die Enttarnung des Angreifers zeigt, warum Agentensicherheit nicht nur darin besteht, schädliche Prompts zu blockieren. Sie umfasst auch die Begrenzung des Schadens, den ein Agent verursacht, der eine gültige Anweisung falsch befolgt.

Worauf Verteidiger nach diesem DeepSeek-Bericht achten sollten

Die nächste Phase wird an erfolgreicher autonomer Kompromittierung, wiederholbarer offensiver Infrastruktur und defensiven Kontrollen gemessen werden, die Agentenverhalten erkennen.

Das erste Signal sind Belege dafür, dass ein Agent eine Kompromittierung abschließt, ohne dass ein Mensch übernimmt. Unit 42 dokumentierte autonome Enumerierung, Exploit-Beschaffung, Zielauswahl und fehlgeschlagene Ausnutzung. Die bestätigten erfolgreichen Aktivitäten in seinem Bericht stammten aus manuellen Kampagnen.

Diese Grenze ist wichtig. Wenn eine künftige Untersuchung autonomen Erstzugriff, Privilegienausweitung, Persistenz und Datendiebstahl in einer nachvollziehbaren Sequenz dokumentiert, verändert sich die Risikobewertung. Das würde zeigen, dass Agenten über die Zieltriage hinaus zu verlässlichen Operationen übergehen können.

Leser sollten nach Sitzungsprotokollen, Befehlsverläufen, Netzwerk-Telemetrie oder anderen direkten Belegen suchen. Anbieterbeschreibungen allein können Autonomie nicht belegen. Eine Kampagne, die lediglich KI-generierten Code verwendet, unterscheidet sich von einer, die nach einem Fehlschlag neu plant und ihre nächste Wahl ausführt.

Das zweite Signal ist Wiederholung bei unabhängigen Akteuren. Dieser Betreiber baute über benutzerdefinierte Fähigkeiten, Telegram-Steuerung, FOFA-Integration, Proxys und eine Pipeline für Schwachstellenwarnungen wiederverwendbare Infrastruktur auf. Diese Investition deutet auf die Absicht hin, den Prozess zu verfeinern.

Eine Kampagne belegt keinen breiten Wandel. Mehrere nicht zusammenhängende Akteure, die ähnliche Agentenarchitekturen nutzen, würden zeigen, dass die Methode zur Standardpraxis wird und nicht zum Experiment eines einzelnen Betreibers bleibt.

Wiederholbarkeit wird wahrscheinlich durch gemeinsam genutzte Fähigkeiten, paketierte MCP-Server, modifizierte Agent-Frameworks und Workflows zur Exploit-Auswahl sichtbar werden. Defensive Forscher sollten öffentliche Repositories beobachten, ohne anzunehmen, dass jedes Red-Team-Projekt böswillig ist.

Das dritte Signal ist, ob Anbieter und Unternehmen die Durchsetzung näher an die Tools verlagern. Modellverweigerungen erzeugten hier Reibung, hielten den Betreiber jedoch nicht davon ab, Systeme zu wechseln. Auch Genehmigungsabfragen versagten als dauerhafte Grenze, weil der Akteur sie deaktivierte.

Aussagekräftigere Kontrollen würden die angeforderte Aktion, die Zielautorisierung, den Prozesskontext und das Netzwerkziel bewerten. Ein Agent, der nach öffentlicher Dokumentation fragt, unterscheidet sich von einem, der einen Scanner gegen nicht zusammenhängende Internet-Hosts startet.

Unternehmen sollten eingesetzte Agenten und die ihnen verfügbaren Zugangsdaten inventarisieren. Ein unverwalteter Agent mit Shell-Zugriff kann eine neue Exponierung schaffen, selbst wenn sich sein zugrunde liegendes Modell wie vorgesehen verhält.

Internetexponierte Systeme bleiben die unmittelbare Priorität. Die Authentifizierung blockierte den autonomen n8n-Versuch, während fehlende Konfigurationsanforderungen die Langflow-Ausnutzung stoppten. Das sind konventionelle defensive Erfolge gegen einen unkonventionellen Workflow.

Die Behandlung von CVE-2026-3055 durch CISA zeigt zudem, warum Patch-Geschwindigkeit entscheidend ist. Die Behörde nahm den Fehler sieben Tage nach seiner Veröffentlichung am 23. März in ihren Katalog ausgenutzter Schwachstellen auf und setzte für Bundesbehörden eine Frist zur Behebung bis zum 2. April.

Organisationen sollten extern erreichbare Managementdienste reduzieren, gepatchte Versionen validieren und wiederholte Versionsabfragen überwachen. Zudem sollten sie Workflow-Plattformen überprüfen, die zunächst schnell zu Testzwecken bereitgestellt und später online belassen wurden.

Sicherheitsteams sollten damit rechnen, dass sich Angriffstraffic verändert. Ein Agent kann pausieren, recherchieren und mit einem anderen Exploit zurückkehren, statt denselben Payload zu wiederholen. Erkennungsregeln, die an einen einzelnen Indikator gebunden sind, könnten diese umfassendere Abfolge übersehen.

Die Korrelation von Erkundung mit späterer Ausnutzung bietet einen besseren Überblick. Eine Häufung von Produktenumerationen, gefolgt von Versionsprüfungen, Downloads öffentlicher Exploits und gezielten Anfragen, kann auf agentengesteuerte Aktivitäten hinweisen – selbst wenn jede einzelne Handlung gewöhnlich wirkt.

Der Google-News-Zyklus wird den Begriff „autonomer Cyberangriff“ bevorzugen, doch Verteidiger benötigen präzisere Fragen. Welche Schritte waren autonom? Welche Aktionen waren erfolgreich? Über welche Berechtigungen verfügte der Agent? Welche Kontrolle hat ihn letztlich gestoppt?

Diese Fragen verhindern Überreaktionen, ohne die Dringlichkeit zu verlieren. Diese Kampagne war weder harmlose Automatisierung noch ein vollständig unabhängiger digitaler Angreifer. Sie war ein funktionales offensives System, dessen autonome Komponente an einfachen Barrieren scheiterte und anschließend ihren eigenen Betreiber preisgab.

Das ist eine Frühwarnung, keine abgeschlossene Transformation. Die nächsten ein bis drei Monate sollten zeigen, ob andere Forschende ähnliche Systeme finden, ob Frameworks ihre Tool-Berechtigungen verschärfen und ob Angreifer ihre operative Disziplin verbessern.

Für Sicherheitsverantwortliche ist die Maßnahme eindeutig: den Weg von der Offenlegung einer Schwachstelle bis zur Behebung verkürzen, jeden internetseitig erreichbaren Dienst erfassen und Agentenausführung als privilegierte Automatisierung behandeln. Entwickler sollten Genehmigungen für Netzwerkscans, den Zugriff auf Zugangsdaten und öffentliche Listener verlangen.

Verfolgen Sie weiterhin verifizierte Sicherheitsforschung hinter Google-News-Schlagzeilen, unterscheiden Sie jedoch zwischen versuchten Angriffen und bestätigten Kompromittierungen. Die entscheidende Kennzahl ist nicht länger, ob ein Angreifer ein KI-Modell konsultiert hat. Entscheidend ist, ob der Agent eigenständig Aktionen auswählte, ausführte und abschloss, die die Umgebung eines Opfers veränderten.